Identifica los puntos donde interviene la IA
Describe el flujo sin confundir generación de contenido con ejecución de una decisión. Ejemplo ficticio: un modelo extrae una referencia de un pedido, propone un importe y un empleado confirma si coincide con el documento original. El registro debe poder distinguir la propuesta de la aprobación y de la creación definitiva del pedido. Si no hay revisión humana, documenta por qué se permite esa acción y qué restricciones la protegen.
Qué comprobar
- Entrada, salida propuesta y acción final diferenciadas.
- Responsable y permisos asignados por operación.
- Condiciones que exigen revisión antes de actuar.
Guarda evidencias proporcionadas y accesibles
Un registro operativo puede incluir identificador del proceso, momento de la operación, versión de instrucciones o configuración, estado de validación y referencia a la evidencia de origen. No necesitas guardar el contenido íntegro de cada conversación para todos los fines. Define mínimos de datos, controles de acceso, periodos de conservación y eliminación, atendiendo a la finalidad y a las obligaciones aplicables.
Qué comprobar
- Campos de auditoría justificados por una finalidad concreta.
- Acceso restringido y mecanismos para corregir errores.
- Retención y supresión documentadas de la información.
Prepara incidentes y revisión de errores
Para el supuesto ficticio P-101, imagina que el modelo propone una cantidad distinta de la factura. El proceso debería dejar constancia de la discrepancia, bloquear la operación sensible y permitir una corrección identificable. Una buena revisión contempla errores de origen, respuestas inesperadas y cambios de versión de proveedor. El informe posterior debe diferenciar el fallo de extracción de la decisión humana que lo aceptó o rechazó.
Qué comprobar
- Prueba de error reproducible con datos ficticios.
- Responsable que revisa y autoriza la corrección.
- Historial de configuración y acciones de seguimiento.
Separa auditoría técnica de cumplimiento normativo
El RGPD y el marco europeo de IA pueden imponer deberes distintos según los datos, el uso, el papel de cada parte y el nivel de riesgo del sistema. No todos los casos requieren las mismas evidencias, ni un log completo equivale a cumplimiento legal. Antes de poner en marcha procesos con consecuencias para personas, revisa finalidades, contratos, transparencia y obligaciones aplicables con asesoramiento competente.
Qué comprobar
- Clasificación del uso y roles de las partes revisados.
- Información a usuarios y personas afectadas cuando proceda.
- Revisión jurídica diferenciada de las pruebas técnicas.